背景

Azure 環境ではicmp pingはややこしいです。時間を作ってまとめてみました。

実機検証結果：

1.VMにinstance level public IPを付けないと、外部へのPingはできないですか。
結果：できないです。
Instance Level pipもないので外部IPにPingできないのは当たり前です。

2.VMにinstance level public IPを付けたとしても、Azure FW経由する場合、外部へのPingはできないですか。
結果：
Instance Level pipはあるのに、AzFW経由する場合は依然Pingはできません。なぜなら、理由は以下です。(AzFWのexternal load balancerでblockされます。)
The architecture of Azure firewall is desgined in such a way that the firewall instances are placed behind an Internal and external load balancer. Any ICMP traffic passing the external load balancer will be blocked on Azure and this is by design behaviour.

3.同じVNetのVM間へのPingはできないですか。
結果：できます。注意ポイントは宛先VM上のOS FirewallのVirtual Machine Monitoring (Echo Request-ICMPv4-in)echo Icmpのinbound規則を有効にする必要があります。既定ではdisableなので、有効しないとpingは失敗。

4.同じVNetのVM間へのPingですが、AzFWを経由する場合、Pingはできないですか。
結果：できないです。AzFWのinternal load balancerによりblockされると思います。

参考まとめ

Azure環境で以下の ICMPならいけます。
Allowed:
1: VM to VM in a virtual network
2: VM to External IP’s (VM needs Instance level public IP {ILPIP})
3: External IP’s to VM (VM needs ILPIP and NSG/OS firewall considerations)
4: External IP’s to Standard public Load balancer (The pings coming in from the internet will be responded by the LB, traffic will never be sent to the backend instances).
5: VM with ILPIP to public IP of the Standard public Load balancer

以下のICMPならいけません。
Not allowed:
1: VM without ILPIP to External IP’s
2: External IP’s to VM without ILPIP
3: VM to External IP’s via NAT Gateway
4: External IP’s to PIP of the NAT gateway
5: VM to external IP’s via Vwan third party NVA’s (SaaS service)
6: VM to external IP's via Azure firewall　

実機検証詳細

実機検証１：
Ping : VM(ILPIPなし)→→AzFW→→internet
1.Brower上でアクセスできますが、Pingはtimeoutしますね。

2.AzFW log上ではICMP許可の記録はみれます。

実機検証2：AzFWを外します。やはりILPIPはないから、pingはできない。Browser上でaccessはできます。
Ping : VM(ILPIPなし)→→internet

実機検証3.今度ILPIPを付けてやります(public IPを作ってVMのnicに関連づけます)。AzFW経由なし。VMを再起動して、PIngします。無事にPingできていますね。

実機検証4.今度ILPIPを付けてsubnetにUDRを付けてAzFW経由させてからpingします。(UDRつけた後、VMも再起動します)
Pingはtimeoutしました。Firewalllog上ではICMPの許可記録があります。

実機検証5.同じVnet内部のVM to VM。AzFW経由しないです。
VM to VMもping timeoutですね。AzFW logを確認すると、ping googleのログがありますが、Ping 10.0.2.4のログはないです。
このpingはAzFW経由していないことが分かります。(同じvnet内なので、udrよりvnet gatewayのroutingほうが優先されます。)

10.0.2.4 VMのVirtual Machine Monitoring (Echo Request-ICMPv4-in)はdisableになっていますね。enableしたらすぐpingが成功になりました。(VM再起動も不要)

実機検証6.同じVnet内部のVM to VM。AzFW経由します。Pingは成功にならないです。
10.0.2.4 VMのVirtual Machine Monitoring (Echo Request-ICMPv4-in)はenable済みです。VM OS上でblockしていないです。

UDR　10.0.2.4/32 nexthop AzFWを指定します。これで通信はAzFWを経由することとなります。
pingはtimeoutになりましたね。AzFWログも確認できています。

結びの言葉

つまり、AzFW経由する場合、Pingは通らないですね。なぜならAzFWの構成にはexternal LBとinternal LBが存在して、どちらでもICMPはsupportしていないです。
以下の文章には理由が示しています.
(Because the ICMP protocol is not permitted through the Azure load balancer）

つまり、どんなパターンでもLBを経由していれば、Icmpは通らないです。LBを経由しなければIcmpはOKです。例えば、Instance level pipが付いている場合、同じVnet内部のVM間のpingの場合。
そして、Azure環境では接続性を確認するため、icmpのpingより、PsPing, Nmap,Telnet,test-netconnection でport指定を使ったらいいですね。

補足：
PingはICMPのみ、PsPingはICMP/TCP/UDP、NmapはTCP/UDP/ICMPなど多岐、TelnetはTCPのみ、Test-NetConnectionは主にICMPとTCPを使用。

肝心な公開文章：
https://learn.microsoft.com/en-us/archive/blogs/mast/use-port-pings-instead-of-icmp-to-test-azure-vm-connectivity

Because the ICMP protocol is not permitted through the Azure load balancer, you will notice that you are unable to ping an Azure VM from the internet, and from within the Azure VM, you are unable to ping internet locations.

Note that while this applies to network traffic going through the external IP (VIP) through configured endpoints, ICMP is not blocked when connecting through an Azure virtual network gateway or ExpressRoute. Also, ICMP will work between internal IPs of VMs in the same virtual network or in the same cloud service.

Also note that while an instance-level public IP lets you communicate directly to a specific VM instead of through the cloud service VIP that can be used for multiple VMs, ICMP is not permitted in that scenario either.

To test connectivity, we instead recommend that you do a port ping. While Ping.exe uses ICMP, other tools such as PsPing, Nmap, or Telnet allow you to test connectivity to a specific TCP port.

ILBもICMPサポートする例外を補足

ExR を経由したオンプレ to Azure は現時点での動作として、ICMP 通信を通しています。
ExR GW や AzFw を ICMP が経由できるのは、内包している ILB の HA ポートが ICMP を通すからです。

Azure の高可用性ポートの概要
https://learn.microsoft.com/ja-jp/azure/load-balancer/load-balancer-ha-ports-overview
（抜粋）
設計上の考慮事項
HA ポートが有効になっている場合、ICMP トラフィックは内部 Standard Load Balancer でサポートされます。